±è¼öÅ°¡¤¾È´Ù¸®¿¤°ú À¯»çÇÑ °ø°Ý ¼ö¹ý »ç¿ë, ¸ÖƼRDP¡¤¹ÌÅÍÇÁ¸®ÅÍ¡¤µÎ¸®¾ÈºñÄÁ ¾Ç¼ºÄÚµå ¼³Ä¡
¸ÞÀÏ Ã·ºÎ ÆÄÀÏ¡¤½ÇÇà ÆÄÀÏ °¢º°È÷ ÁÖÀÇ, º¸¾È ÇÁ·Î±×·¥ ¸ð´ÏÅ͸µ ¹× Ãë¾àÁ¡ ÆÐÄ¡Çؾß
[º¸¾È´º½º ¹ÚÀºÁÖ ±âÀÚ] ºÏÇÑ ÇØÅ·±×·ìÀÌ ±¹³» ¹æ»ê¾÷ü, ÀÚµ¿Â÷ ºÎÇ°¡¤¹ÝµµÃ¼ Á¦Á¶¾÷ ±â¾÷µéÀ» ´ë»óÀ¸·Î ¡®½º¸ôŸÀÌ°Å(SmallTiger)¡¯ ¾Ç¼ºÄڵ带 À¯Æ÷ÇÏ°í ÀÖ´Ù. °¨¿° ½Ã½ºÅÛ ÀÚ°ÝÁõ¸íÀ» Å»ÃëÇÏ°í, Ãß°¡ ¾Ç¼ºÄÚµå ¼³Ä¡ ¹× °¢Á¾ ¾Ç¼º ÇàÀ§°¡ ÀÕµû¸£±â ¶§¹®¿¡ °¨¿° ¿¹¹æ¿¡ ÁÖÀǸ¦ ±â¿ï¿©¾ß ÇÑ´Ù.
![](http://www.boannews.com/media/upFiles2/2024/07/136153537_1642.jpg)
[À̹ÌÁö=gettyimagesbank]
¾È·¦ ½ÃÅ¥¸®Æ¼ ÀÎÅÚ¸®Àü½º ¼¾ÅÍ(ASEC)¿¡ µû¸£¸é ÃÖÃÊ °ø°ÝÀº 2023³â 11¿ù¿¡ È®ÀεƴÙ. ºÏÇÑ ÇØÅ·±×·ì ±è¼öÅ°(Kimsuky)°¡ »ç¿ëÇÏ´Â ¾Ç¼ºÄڵ带 »ç¿ëÇϰųª °ú°Å ¾È´Ù¸®¿¤ÀÌ À¯Æ÷ÇÑ µÎ¸®¾ÈºñÄÁ(DurianBeacon) ¾Ç¼ºÄڵ带 ¼³Ä¡Çß´Ù. µ¿ÀÏÇÑ °ø°ÝÀÚ°¡ 2024³â 2¿ùºÎÅÍ ½º¸ôŸÀÌ°Å ¾Ç¼ºÄڵ带 È°¿ëÇÑ °ø°ÝÀ» À̾°í ÀÖ´Â °Í.
¡ãÆÄ¿ö½© ¸í·ÉÀ¸·Î ¼³Ä¡µÇ´Â MultiRDP ¾Ç¼ºÄÚµå[ÀÚ·á=ASEC]
ÃÖÃÊ °ø°Ý»ç·Ê¸¦ »ìÆ캸¸é, ¸ÖƼRDP(MultiRDP, Multi Remote Desktop Protocol)¿Í ¹ÌÅÍÇÁ¸®ÅÍ(Meterpreter) ¾Ç¼ºÄڵ带 ÀÌ¿ëÇß´Ù. ¸ÖƼRDP´Â ÇöÀç ½ÇÇà ÁßÀÎ ¿ø°Ý µ¥½ºÅ©Åé ¼ºñ½ºÀÇ ¸Þ¸ð¸®¸¦ ÆÐÄ¡ÇØ, ´Ù¼öÀÇ »ç¿ëÀÚ°¡ RDP·Î Á¢¼ÓÇÒ ¼ö ÀÖµµ·Ï ¼³Á¤ÇÏ´Â ¾Ç¼ºÄÚµå´Ù. °ø°ÝÀÚ°¡ ½Ã½ºÅÛ »ç¿ëÀÚ ¿Ü ´Ù¸¥ °èÁ¤À¸·Î ·Î±×ÀÎÇÒ ¶§ µéÅ°Áö ¾Ê°í Á¢¼ÓÇÒ ¼ö Àִµ¥, ±è¼öÅ° ±×·ìÀÌ ÁÖ·Î »ç¿ëÇÏ´Â ¼ö¹ýÀÌ´Ù. ¹ÌÅÍÇÁ¸®ÅÍ´Â ¹éµµ¾î ¾Ç¼ºÄÚµå·Î¼ ÄÚ¹ßÆ® ½ºÆ®¶óÀÌÅ©¿Í ºñ½ÁÇÏ°Ô ¸í·É ½ÇÇà, Á¤º¸Å»Ãë, Ãø¸é À̵¿ µî ±â¾÷ ³×Æ®¿öÅ© Àå¾ÇÀ» À§ÇÑ ±â´ÉÀ» Á¦°øÇÑ´Ù. ±è¼öÅ° ±×·ìÀÌ ÀÚÁÖ »ç¿ëÇÏ´Â ¿£Áö·Ï(Ngrok) ¾Ç¼ºÄÚµå µîÀÌ ¹ß°ßµÆ´Ù.
¶ÇÇÑ, ±â¾÷ ³» ¼ÒÇÁÆ®¿þ¾î ¾÷µ¥ÀÌÆ® ÇÁ·Î±×·¥À» ÅëÇØ °ú°Å ¾È´Ù¸®¿¤ÀÌ À¯Æ÷Çß´ø µÎ¸®¾ÈºñÄÁ(DurianBeacon) ¾Ç¼ºÄڵ带 ¼³Ä¡Çß´Ù. µÎ¸®¾ÈºñÄÁÀº GO¾ð¾î·Î °³¹ßµÈ ¹éµµ¾î ¾Ç¼ºÄÚµå·Î C&C ¼¹ö·ÎºÎÅÍ °ø°ÝÀÚ ¸í·ÉÀ» ¹Þ¾Æ ¾Ç¼º ÇàÀ§¸¦ ¼öÇàÇÑ´Ù. ÃÖÃÊ Á¢¼Ó ÀÌÈÄ °¨¿° ½Ã½ºÅÛÀÇ IP Á¤º¸, »ç¿ëÀÚ À̸§, µ¥½ºÅ©Åé À̸§, ¾ÆÅ°ÅØó, ÆÄÀϸíÀ» Àü¼Û, ¸í·É Àü´ÞÀ» ¼öÇàÇÑ´Ù. ASEC´Â ¡°°ø°ÝÀÚ´Â ÃÖÃÊ Ä§Åõ ÀÌÈÄ ±â¾÷ ³»ºÎ ÀÎÇÁ¶ó¸¦ Àå¾ÇÇϱâ À§ÇØ µÎ¸®¾ÈºñÄÁÀ» À¯Æ÷ÇÏ°í, Á¤º¸¸¦ Å»ÃëÇÑ °ÍÀ¸·Î ÃßÁ¤µÈ´Ù¡±°í ¼³¸íÇß´Ù.
¡ã°ø°ÝÀÚ°¡ ÁöÁ¤ÇÑ DLL À̸§ÀÎ ½º¸ôŸÀÌ°Å[ÀÚ·á=ASEC]
2024³â 2¿ùºÎÅÍ ÀÚÇàµÈ °ø°Ý¿¡¼´Â ³»ºÎÀüÆÄ °úÁ¤¿¡¼ ÃÖÁ¾ÀûÀ¸·Î ½º¸ôŸÀ̰Ŷó´Â À̸§ÀÇ DLL Æ÷¸Ë ¾Ç¼ºÄڵ尡 ¼³Ä¡µÆ´Ù. ½º¸ôŸÀÌ°Å´Â ´Ù¿î·Î´õ·Î¼ C&C ¼¹ö¿¡ Á¢¼ÓÇØ ÆäÀ̷ε带 ³»·Á¹Þ¾Æ ¸Þ¸ð¸®»ó¿¡¼ ½ÇÇàÇÏ´Â ±â´ÉÀ» ´ã´çÇÑ´Ù. À̶§ ħÅõ °úÁ¤¿¡¼ ÀÚ°ÝÁõ¸í Á¤º¸¸¦ ¼öÁýÇϱâ À§ÇÑ µµ±¸ÀÎ ¹Ì¹ÌÄ«Ã÷(Mimikatz)¿Í ÇÁ·Ï´ýÇÁ(ProcDump)¸¦ ¼³Ä¡Çϱ⵵ Çß´Ù.
ASEC°¡ °øÀ¯ÇÑ »ç·Ê¿¡¼´Â ³Ê¼ÒÇÁÆ®(NirSoft)ÀÇ À¥ºê¶ó¿ìÀúÆнººä(WebBrowserPassView)¿Í À¥ ºê¶ó¿ìÀú Á¤º¸¸¦ Å»ÃëÇÏ´Â ¾Ç¼ºÄڵ尡 ÇÔ²² È®ÀεDZ⵵ Çß´Ù. ¾Ç¼ºÄÚµå´Â Ä¿¸Çµå ¶óÀÎ µµ±¸·Î ±¸±Û Å©·Ò, ÆÄÀ̾îÆø½º, ÀÎÅÍ³Ý ÀͽºÇ÷ξ ÀúÀåµÈ °èÁ¤ Á¤º¸¿Í È÷½ºÅ丮 Á¤º¸¸¦ ÃßÃâÇؼ º¸¿©ÁØ´Ù.
¡ã¾Ç¼ºÄڵ尡 ¾÷·ÎµåµÈ °ø°ÝÀÚÀÇ ±êÇãºê ÁÖ¼Ò[ÀÚ·á=ASEC]
´Ù¸¥ »ç·Ê¿¡¼´Â µå·ÎÆÛ À¯ÇüÀÌ ¾Æ´Ñ ¼³Ä¡ÆÄÀÏ Çü½ÄÀ¸·Î ¾Ç¼ºÄڵ尡 ´Ù¿î·Îµå µÆÀ¸¸ç, Mshta ¸í·ÉÀ¸·Î C&C ¼¹ö¿¡¼ ¾Ç¼º ÀÚ¹Ù½ºÅ©¸³Æ®¸¦ ³»·Á¹Þ¾Æ ½ÇÇàÇß´Ù. ³»ºÎ¿¡ Æ÷ÇÔµÈ ÆäÀ̷ε带 ƯÁ¤ ¿µ¿ª¿¡ »ý¼ºÇÏ°í, ÃÖÁ¾ÀûÀ¸·Î ½º¸ôŸÀÌ°Å°¡ ½ÇÇàµÆ´Ù. ¶ÇÇÑ, 2024³â 4¿ù¿¡´Â ±âÁ¸ »ç¿ëÇÏ´ø C&C ¼¹ö°¡ ¾Æ´Ñ ±êÇãºê¸¦ ÅëÇØ ½º¸ôŸÀÌ°Å°¡ À¯Æ÷µÆ´Ù.
ÀÌ¿¡ µû¶ó »ç¿ëÀÚ´Â ¹ß½ÅÀÎÀÌ ºÒºÐ¸íÇÑ ¸ÞÀÏ Ã·ºÎ ÆÄÀÏÀ̳ª À¥ ÆäÀÌÁö¿¡¼ ³»·Á¹ÞÀº ½ÇÇà ÆÄÀÏÀº °¢º°È÷ ÁÖÀÇÇØ¾ß ÇÑ´Ù. ±â¾÷ º¸¾È´ã´çÀÚ´Â º¸¾È ÇÁ·Î±×·¥ ¸ð´ÏÅ͸µÀ» °ÈÇÏ°í ÇÁ·Î±×·¥ º¸¾È Ãë¾àÁ¡ ÆÐÄ¡¸¦ ½Å¼ÓÈ÷ ¼öÇàÇØ¾ß ÇÑ´Ù. OS ¹× ÀÎÅÍ³Ý ºê¶ó¿ìÀú µîÀÇ ÇÁ·Î±×·¥À» ÃֽŠ¹öÀüÀ¸·Î ¾÷µ¥ÀÌÆ®ÇØ ¾Ç¼ºÄÚµå °¨¿°À» ¿¹¹æÇØ¾ß ÇÑ´Ù.
[¹ÚÀºÁÖ ±âÀÚ(boan5@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>